LGPD em CFTV com IA: o que muda quando a câmera passa a decidir

Engenharia Por Juliano Baladão · 4 de setembro de 2026 · 8 min de leitura

Quem é controlador e quem é operador num CFTV terceirizado?

A LGPD não distribui papéis por tamanho de empresa nem por quem escreveu o software. Distribui por poder de decisão. Controlador é a pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais. Operador é quem realiza o tratamento em nome do controlador.

Num condomínio com câmeras, isso costuma resolver-se sem ambiguidade. Foi o condomínio que decidiu instalar, onde apontar, qual regra aplicar, o que fazer com o registro e por quanto tempo guardar. O fornecedor de análise de vídeo executa dentro dos limites contratados. A lei reforça a assimetria no art. 39: o operador deve realizar o tratamento segundo as instruções fornecidas pelo controlador.

A consequência prática é a que mais gera atrito no dia a dia. Os direitos do art. 18 — confirmação, acesso, correção, anonimização, eliminação, informação sobre compartilhamento — são exercidos perante o controlador. Um morador que quer saber quais imagens suas existem pergunta ao condomínio, não ao fornecedor. Se o pedido chegar ao fornecedor, o caminho correto é encaminhar e apoiar tecnicamente, não responder por conta própria.

Isso não isenta ninguém. O art. 42 estabelece que o controlador ou o operador que causar dano em violação à legislação de proteção de dados é obrigado a repará-lo, e a ANPD registra que estão sujeitos à sua fiscalização todos os agentes de tratamento, controlador ou operador, quando a operação ocorre em território nacional, quando visa oferecer bens ou serviços ou tratar dados de indivíduos aqui localizados, ou quando os dados foram coletados no Brasil.

Por que consentimento é uma base legal ruim para vigilância?

Porque não existe consentimento válido de quem passa. A pessoa que atravessa a portaria não foi consultada, e o art. 8º torna difícil consertar isso depois: o consentimento precisa referir-se a finalidades determinadas, autorizações genéricas são nulas, o ônus da prova de que ele foi obtido corretamente é do controlador, e ele pode ser revogado a qualquer momento por procedimento gratuito e facilitado.

Um sistema de segurança que depende de consentimento revogável deixa de funcionar justamente para quem tem mais interesse em revogá-lo. Por isso a base adequada, para segurança patrimonial e prevenção de acidente, é normalmente o legítimo interesse.

O teste de balanceamento do legítimo interesse, em linguagem clara

O art. 7º, IX, admite o tratamento quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados. Essa exceção é o teste. Em português direto, são três perguntas em sequência.

1. O interesse é legítimo e concreto? O art. 10 exige finalidades legítimas consideradas a partir de situações concretas. "Segurança" no abstrato não é finalidade; "identificar veículo que trafega acima do limite na via interna" é.
2. O tratamento é necessário para alcançá-lo? O art. 10, § 1º, é taxativo: quando o fundamento é o legítimo interesse, somente os dados estritamente necessários à finalidade pretendida podem ser tratados. Se um registro pontual resolve, gravar tudo não é necessário — é excesso.
3. O que o titular esperaria? Aqui entra a expectativa legítima. Câmera em área comum de acesso controlado, com aviso visível, é esperada. Câmera com análise de comportamento individual, sem aviso, não é — e é onde o interesse do controlador tende a ceder.

Duas obrigações acompanham essa base e são frequentemente esquecidas. O art. 10, § 2º, manda o controlador adotar medidas para garantir a transparência do tratamento baseado em legítimo interesse. E o art. 37 determina que controlador e operador mantenham registro das operações de tratamento, especialmente quando baseadas no legítimo interesse. Quem escolhe essa base assume o dever de documentar.

Reconhecimento facial é tratamento de dado biométrico, e isso muda o regime

O art. 5º, II, define dado pessoal sensível incluindo expressamente o dado genético ou biométrico quando vinculado a uma pessoa natural. Dado sensível não se rege pelo art. 7º: ele tem lista própria no art. 11, mais curta e mais exigente, com consentimento específico e destacado ou hipóteses taxativas de dispensa — nenhuma delas escrita com "segurança patrimonial" em mente.

O risco não é teórico. Em maio de 2023, o Idec noticiou que o Tribunal de Justiça de São Paulo manteve, em segunda instância, a condenação da ViaQuatro — concessionária da linha 4-Amarela do Metrô de São Paulo — pelo uso indevido de imagens de reconhecimento facial de consumidores, em ação civil pública que buscava proibir a coleta, o uso e o tratamento não consentido e não informado de dados biométricos de passageiros para fins de publicidade. A indenização por danos morais coletivos, fixada em primeira instância em R$ 100 mil, passou a R$ 500 mil, revertidos ao Fundo de Defesa de Direitos Difusos. Segundo o release, cabia recurso.

Detectar classe e comportamento é regime diferente de identificar quem é a pessoa

A distinção decisiva de projeto é esta: o sistema responde "há uma pessoa nesta zona às 22h14" ou responde "esta pessoa é fulano"? A primeira pergunta produz classe, posição, tempo e comportamento. A segunda produz identidade a partir de traço corporal — biometria.

Convém não exagerar a diferença. Imagem de pessoa identificável continua sendo dado pessoal (art. 5º, I), e a LGPD continua valendo integralmente sobre um sistema que só detecta classe e comportamento. O que muda é a categoria e, com ela, o patamar de exigência: sai-se do art. 11 e volta-se ao art. 7º, o que torna o legítimo interesse uma base disponível.

Muda também a superfície de dano. Um sistema que nunca constrói identificador biométrico não tem base de rostos para vazar, não tem como ser reaproveitado para rastrear alguém entre locais diferentes e não cria a assimetria que a decisão do caso ViaQuatro puniu. É uma escolha de arquitetura com efeito jurídico, e é por isso que ela precisa estar escrita na política, não só no código.

Quais boas práticas são verificáveis por um terceiro?

Conformidade que não pode ser conferida por quem não confia em você é declaração de intenção. A lista abaixo é curta de propósito: são práticas cujo cumprimento produz artefato — documento, registro, tela, prazo — que alguém de fora pode pedir para ver.

Vale um comentário sobre a última linha da lei citada na tabela. O relatório de impacto do art. 38 deve conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia usada para a coleta e para a garantia da segurança das informações, e a análise do controlador sobre medidas, salvaguardas e mecanismos de mitigação de risco adotados. Esses três itens são um bom roteiro mesmo quando ninguém exigiu o relatório — e o art. 10, § 3º, prevê que a autoridade nacional pode solicitá-lo justamente quando o tratamento se funda em legítimo interesse.

A minimização merece a mesma atenção. Guardar o evento em vez do fluxo contínuo é a diferença entre um acervo de segundos e um acervo de meses, e é o tipo de decisão que resolve simultaneamente o art. 10, § 1º, o custo de armazenamento e o tamanho do estrago em caso de incidente. Sobre o que precisa estar dentro de um registro para ele se sustentar, escrevemos em evidência de vídeo que se sustenta.